외부 키 스토어에서 KMS 키 삭제 예약

암호화 작업에서 AWS KMS key를 사용할 필요가 없다고 확신하는 경우 KMS 키 삭제를 예약할 수 있습니다. AWS KMS에서 KMS 키 삭제를 예약할 때 사용하는 것과 동일한 절차를 사용합니다. 외부 키 스토어에서 KMS 키를 삭제해도 키 구성 요소로 사용된 외부 키에는 영향을 주지 않습니다.

필수 대기 기간 동안 KMS 키의 예약된 삭제를 취소할 수 있습니다. 그러나 삭제된 KMS 키는 복구할 수 없습니다. 동일한 외부 키를 사용하더라도 외부 키 스토어에서 대칭 KMS 키를 다시 생성할 수 없습니다. 외부 키 스토어의 각 대칭 KMS 키에는 고유한 AWS KMS 키 구성 요소 및 메타데이터가 있으므로 대칭 암호화 텍스트를 암호화한 AWS KMS 키만 이를 복호화할 수 있습니다.

주의

KMS 키 삭제는 KMS 키에서 암호화된 모든 데이터를 복구하지 못하도록 할 위험성이 있는 안전하지 않은 작업입니다. KMS 키 삭제 일정을 잡기 전에 KMS 키의 과거 사용을 살펴보고 삭제 대기 중인 사람이 KMS 키를 사용하려고 하면 알림을 보내는 Amazon CloudWatch 경보를 생성하십시오. 가능한 경우에는 언제든지 삭제하는 대신 KMS 키를 비활성화합니다.

외부 키 스토어에서 KMS 키 삭제를 예약하면 키 상태가 Pending deletion(삭제 보류 중)으로 변경됩니다. 외부 키 스토어를 연결 해제하여 KMS 키를 사용할 수 없게 되더라도 KMS 키는 대기 기간 내내 Pending deletion(삭제 보류 중) 상태로 유지됩니다. 따라서 대기 시간 동안 언제라도 KMS 키의 삭제를 취소할 수 있습니다. 대기 기간이 만료되면 AWS KMS는 AWS KMS에서 KMS 키를 삭제합니다.

외부 키 스토어에서 KMS 키 삭제를 예약하면 KMS 키는 즉시 사용할 수 없게 됩니다(최종 일관성에 따라 다름). 그러나 KMS 키로 보호되는 데이터 키로 암호화된 리소스는 데이터 키를 복호화하는 등 KMS 키를 다시 사용할 때까지 영향을 받지 않습니다. 이 문제는 리소스를 보호하기 위해 데이터 키를 사용하는 AWS 서비스에 영향을 미칩니다. 자세한 내용은 사용할 수 없는 KMS 키가 데이터 키에 미치는 영향 단원을 참조하세요.

AWS CloudTrail 로그에서 KMS 키의 예약, 취소 및 삭제를 모니터링할 수 있습니다.